Wie man einen CSR auf Titan SFTP Server generiert

Dieses Tutorial zeigt Ihnen, wie Sie eine CSR auf dem Titan SFTP Server erzeugen. Wie Sie zu den Zertifikatstools gelangen, hängt davon ab, welche Verwaltungskonsole Ihre Installation verwendet, und das ist der Punkt, den Sie vor dem Start klären sollten.

Neuere Versionen (die NextGen-Reihe) verwalten Zertifikate über eine browserbasierte Administrator Console, die Sie unter einer Adresse wie https://your-server:41443 öffnen. Ältere und über den Desktop verwaltete Installationen verwenden den klassischen Windows-Titan FTP Server Administrator. Die beiden Konsolen legen die Zertifikatstools unter unterschiedlichen Menüs ab, daher behandeln die folgenden Schritte zuerst die aktuelle Browser-Konsole und danach die klassische Desktop-Konsole in einem eigenen Abschnitt am Ende.

In beiden Fällen kann der integrierte Assistent von Titan sowohl eine CSR für ein öffentlich vertrauenswürdiges Zertifikat als auch ein selbstsigniertes Zertifikat zu Testzwecken erstellen, und das installierte Zertifikat dient sowohl FTPS als auch der HTTPS-Weboberfläche.

CSR auf dem Titan SFTP Server erzeugen

Wenn Sie Ihre CSR bereits erzeugt und das signierte Zertifikat von Ihrer CA erhalten haben, springen Sie direkt zur Installation eines SSL-Zertifikats auf dem Titan SFTP Server.

Sie haben zwei Möglichkeiten:

• Verwenden Sie unseren CSR-Generator, um die CSR und den privaten Schlüssel auf Ihrem eigenen Rechner zu erstellen, und kopieren Sie dann beide Dateien auf den Titan-Server.
• Folgen Sie den nachstehenden Schritten, um die CSR direkt in Titan zu erstellen, wodurch der private Schlüssel auf dem Server verbleibt, der ihn verwenden wird.

Schritt 1: Öffnen Sie die Zertifikatstools

1. Melden Sie sich in Ihrem Browser bei der Titan-Administrator Console an und wählen Sie in der linken Navigation den Server aus, den Sie absichern möchten.
2. Klicken Sie auf Services und öffnen Sie dann den Tab FTPS/SSL.
3. Klicken Sie auf Manage Certificates, um die Zertifikatsliste zu öffnen, und dann auf New, um den Zertifikatsassistenten zu starten. (Die daneben liegende Schaltfläche Import dient dem Laden eines bereits vorhandenen Zertifikats, nicht dem Erstellen eines neuen.)

Titan führt für den gesamten Server einen einzigen Zertifikatsspeicher, sodass dieselbe Liste erscheint, egal ob Sie sie über den Tab FTPS/SSL oder den Tab HTTP/HTTPS aufrufen. Ein hier erstelltes Zertifikat kann jedem der beiden Dienste zugewiesen werden.

Schritt 2: Geben Sie die Zertifikatsdetails ein

Der Assistent fragt nach den Identitätsfeldern, aus denen sich der Zertifikatsinhaber (Subject) zusammensetzt. Geben Sie diese wie folgt ein:

• Common Name: der vollqualifizierte Domainname (FQDN), unter dem Clients den Server erreichen, zum Beispiel ftp.yoursite.com. Bei einem FTP-Server ist dies oft nicht derselbe Hostname wie bei Ihrer Website, verwenden Sie also den Namen, mit dem sich Ihre FTPS- und Web-Nutzer tatsächlich verbinden. Für ein Wildcard-Zertifikat setzen Sie ein Sternchen vor die Domain, wie in *.yoursite.com.
• Organization: der vollständige rechtliche Name Ihres Unternehmens, zum Beispiel Your Company LLC. Bei einem persönlichen oder domainvalidierten Zertifikat geben Sie den Namen ein, auf den die Domain registriert ist.
• Department (Organizational Unit): Das CA/Browser Forum hat dieses Feld im September 2022 abgeschafft, es ist in öffentlich vertrauenswürdigen TLS-Zertifikaten nicht mehr zulässig. Lassen Sie es leer; die CA entfernt es ohnehin.
• Locality/City: der vollständige Name der Stadt, in der Ihr Unternehmen ansässig ist, zum Beispiel San Francisco. Verwenden Sie keine Abkürzung.
• State/Province: der vollständige Name des Bundesstaats oder der Provinz, in dem/der Ihr Unternehmen registriert ist, zum Beispiel California, ausgeschrieben statt abgekürzt.
• Country: wählen Sie Ihr Land aus oder geben Sie den zweistelligen ISO-3166-1-Code ein, wie US, GB oder CA.
• Email Address: eine gültige Kontaktadresse. Sie hat keinen Einfluss auf die Ausstellung, da die CA Sie über die Kontaktdaten Ihrer Bestellung erreicht und nicht über die CSR.

Wenn der Assistent die Felder Valid From und Valid To anzeigt, ignorieren Sie diese. Titan zeigt Platzhalterdaten an, aber Ihre CA legt den tatsächlichen Gültigkeitszeitraum bei der Ausstellung des Zertifikats fest.

Geben Sie diese Angaben sorgfältig ein, aber machen Sie sich deswegen keine übermäßigen Sorgen. Die CA erstellt den Zertifikatsinhaber anhand ihrer eigenen Validierungsunterlagen, nicht anhand Ihrer CSR. Bei einem domainvalidierten Zertifikat erscheinen die Werte für Organisation, Ort oder Bundesland überhaupt nicht im ausgestellten Zertifikat. Bei einem organisationsvalidierten oder Extended-Validation-Zertifikat erscheinen sie zwar, aber erst, nachdem die CA sie anhand offizieller Unterlagen bestätigt hat, sodass ein Tippfehler hier während der Validierung korrigiert wird, statt sich im Zertifikat festzusetzen.

Schritt 3: Wählen Sie die Schlüssellänge

Legen Sie die Schlüssellänge fest, bevor Sie die Anfrage erzeugen. 2048-Bit-RSA ist der Standard und das Minimum, das eine öffentliche CA akzeptiert, und für die meisten FTP-Server die richtige Wahl. Sie können auf 3072 oder 4096 Bit wechseln, wenn Ihre eigene Sicherheitsrichtlinie dies verlangt, wobei zu bedenken ist, dass größere RSA-Schlüssel die Handshake-Zeit auf einem stark ausgelasteten Übertragungsserver erhöhen. Falls Ihre Version ECDSA anbietet, liefert dies kleinere Schlüssel und schnellere Handshakes, bleiben Sie aber bei den NIST-Kurven P-256, P-384 oder P-521, da keine andere Kurve in öffentlich vertrauenswürdigen Zertifikaten zulässig ist, und wählen Sie es nur, wenn Sie wissen, dass die sich verbindenden Clients es unterstützen.

Schritt 4: Schützen Sie den privaten Schlüssel mit einem Passwort

Falls Titan Sie dazu auffordert, erstellen und bestätigen Sie ein Passwort für den privaten Schlüssel. Dies verschlüsselt die Schlüsseldatei im Ruhezustand, was auf einem Server, der externe Verbindungen akzeptiert, eine bewährte Praxis ist. Notieren Sie das Passwort in Ihrem Passwort-Manager, bevor Sie fortfahren, denn Titan kann es nicht wiederherstellen, und Sie werden danach gefragt, wenn Sie das ausgestellte Zertifikat importieren. Wenn Sie lieber keines festlegen möchten, ergibt ein leeres Feld einen unverschlüsselten Schlüssel.

Schritt 5: Erzeugen Sie die CSR

Wählen Sie auf der letzten Seite, das Zertifikat zur Signierung an eine CSR zu senden, statt es selbst zu signieren. Eine Selbstsignierung erzeugt ein Zertifikat, dem Clients nicht vertrauen, was für interne Tests in Ordnung ist, aber nicht für Nutzer, die sich ohne Warnungen verbinden müssen. Bestätigen Sie die Auswahl und speichern Sie die Anfrage. Titan erzeugt zwei Elemente: die CSR selbst (eine .csr-Datei, die Sie bei Ihrer CA einreichen) und den zugehörigen privaten Schlüssel (eine .pem-Datei), der auf dem Server verbleibt. Je nach Konsole schreibt Titan beide in einen von Ihnen gewählten Ordner oder bietet die CSR zum Download an, während der Schlüssel auf dem Server verbleibt, achten Sie also darauf, wo jede Datei landet, und stellen Sie sicher, dass Sie den Schlüssel später wiederfinden.

Schritt 6: Senden Sie die CSR an Ihre CA

Öffnen Sie die CSR-Datei mit einem beliebigen Texteditor, etwa Notepad, und kopieren Sie den gesamten Inhalt einschließlich der ersten und letzten Zeile:

-----BEGIN CERTIFICATE REQUEST-----
(base64-encoded data)
-----END CERTIFICATE REQUEST-----

Fügen Sie diesen Text in das CSR-Feld auf dem Bestellformular Ihres SSL-Anbieters ein. Wenn das Formular nach der verwendeten Serversoftware fragt, wählen Sie Other, da Titan selten namentlich aufgeführt ist. Bevor Sie absenden, prüfen Sie den Text mit unserem CSR-Decoder, um zu bestätigen, dass Common Name, Schlüsseltyp und Schlüssellänge wie beabsichtigt herausgekommen sind. Einen Fehler hier zu entdecken dauert eine Minute; ihn nach der Ausstellung zu entdecken bedeutet eine erneute Ausstellung.

Lassen Sie den privaten Schlüssel dort, wo Titan ihn gespeichert hat. Er geht nie an die CA, er muss auf dem Server verbleiben, und Sie werden Titan zusammen mit seinem Passwort darauf verweisen, sobald das signierte Zertifikat eintrifft. Sichern Sie ihn zusätzlich an einem sicheren Ort, gemäß unseren Hinweisen zur Aufbewahrung privater Schlüssel. Geht der Schlüssel verloren, ist das ausgestellte Zertifikat unbrauchbar, und Sie müssen mit einer neuen CSR von vorne beginnen.

Eine CSR im klassischen Titan FTP Server Administrator erzeugen

Wenn Sie Titan über die klassische Windows-Desktop-Konsole statt über die browserbasierte Administrator Console verwalten, befinden sich die Zertifikatstools unter einem anderen Menü, aber der Assistent erfasst dieselben Angaben.

1. Öffnen Sie den Titan FTP Server Administrator und erweitern Sie im linken Bereich den Server, den Sie absichern möchten, und melden Sie sich an.
2. Erweitern Sie Your Domain > Your Server und klicken Sie auf Security.
3. Klicken Sie auf Certificate Management. Klicken Sie im sich öffnenden Fenster Certificate Manager auf Create.
4. Füllen Sie im SSL Certificate Wizard dieselben oben beschriebenen Identitätsfelder aus (Common Name, Organization, Locality/City, State/Province, Country und Email Address), lassen Sie das veraltete Feld Department leer, und klicken Sie dann auf Next.
5. Setzen Sie die Key Length auf 2048 Bit (oder größer) und klicken Sie auf Next.
6. Erstellen und bestätigen Sie ein Passwort zum Schutz Ihres privaten Schlüssels und merken Sie es sich für die Installation.
7. Wählen Sie Generate CSR for signing by a Trusted Certificate Authority, klicken Sie auf die Schaltfläche mit den drei Punkten, um einen Ordner für die .csr-Datei und den privaten .pem-Schlüssel auszuwählen, klicken Sie dann auf OK und schließen Sie den Certificate Manager.

Ab hier ist der Ablauf identisch: Öffnen Sie die .csr-Datei, kopieren Sie ihren Inhalt und reichen Sie ihn wie in Schritt 6 beschrieben bei Ihrer CA ein.